DocCipher · mobile Anwendung

Datenschutzerklärung

DocCipher bewahrt Ihre Dokumente verschlüsselt auf Ihrem Gerät auf. Es gibt weder DocCipher-Konto noch BB16-Studio-Dokumentserver.

Zuletzt aktualisiert: 14. Oktober 2026 · Diese Seite auf Englisch lesen

Verantwortlicher

Verantwortlicher ist BB16 Studio, Herausgeber von DocCipher. Fragen oder Datenanfragen an bb16studio@gmail.com. Diese Richtlinie betrifft die angekündigte Android-Version; die App ist noch nicht bei Google Play verfügbar.

Dokumente und lokale Verschlüsselung

Importierte Dokumente, Vorschauen, OCR-Texte, Ordner, Tags und Tresordaten bleiben im privaten App-Bereich. Der Tresor ist auf dem Gerät verschlüsselt. BB16 Studio erhält weder Dokumente, Inhalte, Passwort noch Wiederherstellungsmaterial.

OCR-Texterkennung läuft mit eingebetteten Modellen auf dem Gerät; keine Bilder oder Texte werden dafür an Server gesendet.

Lokale Erinnerungen und Daten außerhalb des Tresors

Bei aktivierten Erinnerungen speichert DocCipher außerhalb des verschlüsselten Tresors im privaten Bereich einen begrenzten Plan aus Tagen, Zählern, Uhrzeit und allgemeinen Texten. So funktionieren lokale Erinnerungen bei gesperrtem Tresor. Er enthält keine Dokumenttitel, Namen, Nummern oder Kategorien. Auf dem Sperrbildschirm steht ein allgemeiner Titel. Kein Push-Dienst sendet diese Daten.

Weder Dokumentserver noch Synchronisierung

BB16 Studio betreibt keinen Server zum Hosten, Analysieren, Synchronisieren oder Sichern Ihrer Dokumente. WebDAV, Nextcloud und anderer Online-Speicher sind in dieser Version nicht verfügbar. Dokumente verlassen das Gerät nur durch Ihren Export.

Von Ihnen gewählte Exporte und Sicherungen

Ein Dokument oder eine .dcvault-Sicherung verlässt die App nur bei ausdrücklichem Export an ein per Systemauswahl oder Teilen-Menü gewähltes Ziel. .dcvault bleibt verschlüsselt; ein unverschlüsselt exportiertes Dokument unterliegt der Sicherheit des Ziels.

Das Wiederherstellungspaket (Phrase und QR-Code) verlässt die App nur beim Drucken, Speichern als PDF am gewählten Ort oder Kopieren der Phrase und unterliegt dann Drucker, Ziel oder Zwischenablage.

Android-Autosicherung und automatische Übertragung auf ein neues Gerät sind deaktiviert.

Das Android-Kauf-SDK kann Google Block Store bitten, die pseudonyme Kaufkennung zur leichteren Wiederherstellung zu sichern. Dieser Weg ist von der deaktivierten Dateisicherung getrennt und enthält keine Dokumente.

Biometrisches Entsperren

Wenn Sie es aktivieren, erfolgt das biometrische Entsperren über die Systemabfrage von Android. DocCipher erhält nur die Antwort, ob die Identität bestätigt wurde: Die App hat keinen Zugriff auf Fingerabdrücke, Gesichtsbilder oder biometrische Vorlagen. Diese bleiben im geschützten Bereich des Geräts. Biometrie ersetzt nicht Ihre PIN, die weiterhin erforderlich ist.

Panikcode und Täuschtresor zum Start vorgesehen

Beide optionalen Funktionen sind ohne Aufpreis im lebenslangen Premium-Recht vorgesehen. Die lokale Implementierung wird validiert; öffentliche Verfügbarkeit hängt von Sicherheitsprüfungen und Gerätetests ab.

Der Panikcode wird freiwillig nach der Authentifizierung mit dem Masterpasswort aktiviert. Dafür sind eine separate, zweimal eingegebene PIN, zwei Einwilligungen und eine Bestätigung der unumkehrbaren Aktion erforderlich. Sie wählen einzelne oder alle Tresore aus. Nur die genaue Eingabe der aktivierten Panik-PIN löst danach ohne weiteren Dialog die logische Löschung der Dateien, lokalen Schlüssel, Caches und Miniaturbilder der ausgewählten Tresore aus. Ein physisches Überschreiben des Speichers wird nicht garantiert. Exportierte Sicherungen, Cloud-Kopien und andere externe Sicherungen werden nicht gelöscht.

Der Täuschtresor ist ein separater lokaler Tresor mit eigener PIN, Schlüsseln und Inhalt. Geöffnet zeigt er nur seinen Inhalt. Der öffentlich dokumentierte Schutz gegen flüchtige Blicke garantiert weder Unkenntnis seiner Existenz noch Ununterscheidbarkeit bei Geräteanalyse.

Optionale Käufe

DocCipher tauscht Daten mit RevenueCat aus, um Angebote anzuzeigen, Käufe durchzuführen oder wiederherzustellen und den mit diesen optionalen Aktionen verbundenen Premium-Zugang zu prüfen. Sie können DocCipher nutzen, ohne etwas zu kaufen. Die Zahlung wird von Google Play abgewickelt. Die Prüfung des Kaufs und Ihres Premium-Zugangs übernimmt RevenueCat als Dienstleister, der im Auftrag und nach Weisung von BB16 Studio handelt (Auftragsverarbeiter im Sinne der DSGVO). Nach der Konfiguration des SDK kann die App bei ihrer Rückkehr in den Vordergrund erneut den Premium-Status abfragen. Keine Dokumente, Tresore, PINs, Passwörter oder Schlüssel werden über diesen Kanal übertragen.

Angebotsöffnung, Kauf, Wiederherstellung oder bekanntes Premium-Recht hinterlassen lokal eine Premium-Interesse-Markierung. Spätere Starts können dadurch auch ohne Angebotsöffnung SDK-Konfiguration und Prüfung auslösen. Eine unlesbare Markierung gilt zur Wiederherstellung als vorhanden. Dies kann beim ersten Prozess-Entsperren beginnen, garantiert aber weder Anfrage bei jedem Start noch Netzantwort.

Bei jedem Austausch erhält RevenueCat:

• eine zufällige Nutzerkennung, die das RevenueCat-SDK beim ersten Kontakt erstellt;
• technische Angaben je Anfrage: Plattform und Android-Version, Gerätemodell und -marke, Gerätesprache(n), Land des Google-Play-Kontos, Anwendungskennung sowie App- und SDK-Version;
• die IP-Adresse Ihrer Verbindung, die jeder kontaktierte Server erhält und aus der ein ungefähres Land abgeleitet werden kann.

Bei Kauf oder Wiederherstellung erhält RevenueCat zusätzlich Google-Play-Kauftoken (Beleg), Produkt, Preis, Währung und Transaktionsdaten und leitet daraus Ihren Premium-Status (aktiv oder abgelaufen) ab.

Die Kennung enthält weder Name noch E-Mail-Adresse, ist aber nicht anonym: Sie ist mit Google-Play-Käufen und damit Ihrem Google-Konto verknüpft; eine Wiederherstellung kann sie mit anderen Installationskennungen verbinden. Sie ist pseudonym. Es wird kein Konto erstellt; automatische Gerätekennungen (Werbe-ID, Android-ID) und SDK-Diagnosen sind deaktiviert.

Wie bei jedem Kauf im Play Store erhält Google Play Ihr Google-Konto, das Produkt und Ihre Zahlungsinformationen. Google verarbeitet diese Daten als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung. In der Konsole stellt Google Play BB16 Studio die zur Verkaufsverwaltung erforderlichen Bestellinformationen bereit, insbesondere Bestellnummer, Produkt, Preis und Kaufland. BB16 Studio erhält niemals Ihre Bankdaten.

Zweck und Rechtsgrundlage

Der Austausch mit RevenueCat dient der Verwaltung Ihrer Käufe und Premium-Berechtigungen:

• Prüfung Ihres Premium-Zugangs bei jedem RevenueCat-Kontakt, auch ohne Kauf: erforderlich zur Vertragserfüllung der App-Nutzung (Artikel 6 Absatz 1 Buchstabe b DSGVO);
• Abwicklung von Kauf oder Wiederherstellung: erforderlich zur Erfüllung des Kaufvertrags (Artikel 6 Absatz 1 Buchstabe b DSGVO).

Kaufdaten werden in RevenueCat auch für Verkaufs- und Abonnementstatistiken verwendet. Sie dienen weder der Werbung noch der Erstellung von Werbeprofilen oder der Werbeverfolgung. Wenn Sie uns schreiben, verwenden wir Ihre Nachricht und Ihre E-Mail-Adresse, um Ihnen zu antworten. Grundlage dafür ist unser berechtigtes Interesse an der Beantwortung oder, wenn Sie Ihre Rechte ausüben, unsere gesetzliche Verpflichtung.

Übermittlung außerhalb der Europäischen Union

RevenueCat, Inc. sitzt in den USA, wo die beschriebenen Kaufdaten verarbeitet werden. Standardvertragsklauseln der Europäischen Kommission im Datenverarbeitungsvertrag regeln die Übermittlung. Eine Kopie erhalten Sie über bb16studio@gmail.com.

Speicherdauer

RevenueCat speichert Kaufdaten, solange sie zur Verwaltung und Wiederherstellung Ihres Kaufs dienen, und löscht sie auf Ihre Anforderung (siehe „Löschung und Ihre Rechte“). Wenn Sie nie etwas gekauft haben, die App aber RevenueCat kontaktiert hat, speichert RevenueCat im Auftrag von BB16 Studio einen pseudonymen Datensatz, der auf die oben beschriebene Kennung und die technischen Angaben beschränkt ist, solange er diesem Kontakt dient, und löscht ihn auf Anforderung (siehe „Löschung und Ihre Rechte“). Google Play bewahrt seine eigenen Bestelldaten nach seiner Richtlinie auf. Ihre Dokumente bleiben auf Ihrem Gerät, bis Sie sie in der App löschen. Eine Löschung mit dem Panikcode entfernt die ausgewählten Tresore und ihre lokalen Daten logisch; externe Sicherungen bleiben an ihrem Ziel, bis Sie sie dort löschen.

Was DocCipher nicht tut

• Kein DocCipher-Nutzerkonto und keine E-Mail-Adresse verlangt.
• Keine Werbung, Werbe-ID oder Datenverkäufe.
• RevenueCat verarbeitet die oben beschriebenen Kaufdaten, unter anderem für Verkaufsstatistiken. Es wird kein SDK zur Verfolgung der Dokumentnutzung oder zur Meldung von Abstürzen hinzugefügt; die Diagnosekomponenten der ML Kit-Bibliotheken werden entfernt.
• Kein App- oder Website-übergreifendes Tracking.

Android-Absturzberichte

Wenn Sie in den Geräteeinstellungen der Weitergabe von Nutzungs- und Diagnosedaten an Google zugestimmt haben, kann Android Absturz- und Leistungsberichte an Google senden. Google Play stellt sie BB16 Studio in seiner Konsole (Android Vitals) als aggregierte Statistiken und technische Berichte bereit: Gerätemodell, Android-Version und Fehlerprotokoll. Dieser Mechanismus gehört zum System, nicht zu DocCipher. Die Berichte enthalten weder Ihre Dokumente noch Ihren Namen oder Ihre E-Mail-Adresse. Sie können sie in den Geräteeinstellungen deaktivieren.

Bewertungen bei Google Play

DocCipher kann nach erfolgreichem Dokumentschutz oder erfolgreicher Sicherung die offizielle Google-Play-In-App-Review-API aufrufen. Nie beim Start, während Verarbeitung, nach Fehler oder aus Panikcode-/Täuschtresor-Bildschirmen. Mindestens 90 Tage liegen zwischen Anfragen. Google Play entscheidet die Anzeige; DocCipher erhält weder Note, Kommentar noch Wert und weiß nicht, ob die Karte erschien. Keine Dokumente, Tresore, PINs oder Eingaben werden übertragen.

Android-Berechtigungen

Das für Google Play vorbereitete Android-Manifest deklariert genau sieben Einträge:

• android.permission.INTERNET — Käufe und nichts anderes;
• com.android.vending.BILLING — Google-Play-Abrechnung;
• android.permission.USE_BIOMETRIC — Systemabfrage anzeigen; kein Zugriff auf biometrische Daten;
• android.permission.USE_FINGERPRINT, begrenzt auf Android 9 und älter — gleiche Aufgabe;
• android.permission.RECEIVE_BOOT_COMPLETED — lokale Erinnerungen nach Neustart neu planen;
• android.permission.POST_NOTIFICATIONS — lokale Erinnerungen mit nötiger Systemgenehmigung anzeigen;
• eine interne Signaturberechtigung ohne Gerätefähigkeit.

Keine Kamera-, Standort-, Kontakt-, Mikrofon- oder erweiterte Speicherberechtigung; Dateien laufen über Systemauswahlen.

Löschung und Ihre Rechte

Sie können Dokumente in der App löschen. Eine freiwillig aktivierte Premium-Panikoption kann mit eigener PIN gewählte oder alle lokalen Tresore logisch löschen. Dies ist in der App unumkehrbar, garantiert keine physische Löschung und entfernt keine externe Sicherung. Sie können alle lokalen Daten in Android löschen oder deinstallieren. Exportierte Kopien bleiben bis zu Ihrer Löschung am Ziel. BB16 Studio kann Ihren Tresor nicht aus der Ferne extrahieren, entschlüsseln oder wiederherstellen.

Für von RevenueCat im Auftrag von BB16 Studio verarbeitete Daten können Sie Auskunft, Berichtigung, Löschung, Einschränkung oder Übertragbarkeit verlangen und bei berechtigtem Interesse widersprechen. Schreiben Sie an bb16studio@gmail.com. Nach Kauf nennen Sie die mit „GPA.“ beginnende Bestellnummer aus der Beleg-E-Mail. Ohne Kauf, aber nach Kontakt, nennen Sie ungefähres Datum und Gerätemodell; mit RevenueCat-Kennung reicht dies ohne Bestellnummer. Fügen Sie nie Dokumente, Passwörter, Schlüssel oder Wiederherstellungsphrasen bei. Antwortfrist: ein Monat nach DSGVO.

Datenlöschung storniert den Kauf nicht: Google Play bewahrt ihn auf; spätere Wiederherstellung findet ihn und sendet die beschriebenen Daten erneut an RevenueCat. Abonnements werden in Google Play verwaltet und gekündigt.

Wenn Sie Ihre Rechte verletzt sehen, können Sie sich bei einer Datenschutzbehörde beschweren, in Frankreich bei der CNIL.

Änderungen

Diese Seite wird aktualisiert, wenn sich Datenflüsse, Drittanbieterdienste oder App-Berechtigungen ändern.